¿Ha sobreestimado la madurez de seguridad de su organización?

Una versión de este artículo apareció en Dark Reading. Ha sido actualizado y distribuido aquí.


A medida que la mayoría de las empresas navegan por el flujo y reflujo del crecimiento, la innovación y la transformación digital, es natural que algunas áreas sigan siendo una obra en curso a medida que la empresa escala. Este suele ser el caso del programa de ciberseguridad de una organización, especialmente cuando los líderes de seguridad luchan por mantenerse un paso por delante de las nuevas amenazas, vulnerabilidades y desarrollos tecnológicos que aumentan la exposición al riesgo.

Sin embargo, con una persistente escasez de talento que choca con el aluvión de código que se escribe para satisfacer las necesidades de software del mundo, muchas empresas se están quedando atrás en su estrategia de ciberseguridad e infraestructura. Y con una industria aparentemente obsesionada con un enfoque basado en herramientas, a menudo se pasa por alto el poder del personal cualificado en un programa defensivo funcional.

Es hora de analizar con honestidad nuestra madurez general en ciberseguridad y evaluar las mejoras rápidas y viables que tenemos ante nosotros.

La madurez sostenible en ciberseguridad es un proceso.

Es fácil para el público asumir que toda empresa debería tener un programa de ciberseguridad sólido, y que la protección es solo cuestión de seleccionar el software adecuado y activarlo como un escudo de fuerza para detener a los actores de amenazas en seco. Siendo 2022 uno de los peores años registrados en incidentes cibernéticos - incluyendo el secuestro de todo el gobierno de Costa Rica para pedir un rescate - muchos profesionales de la seguridad solo podrían desear que fuera así de sencillo.

Aunque muchas industrias, especialmente en el sector financiero, están impulsadas por el cumplimiento y sujetas a marcos regulatorios cada vez más complejos que exigen medidas de seguridad estrictas, la realidad es que a la mayoría de las organizaciones les falta ciberresiliencia. Más de la mitad de las grandes empresas de todo el mundo no son eficaces a la hora de detener los ciberataques, ni de encontrar y solucionar rápidamente las vulnerabilidades explotadas.

Incluso las organizaciones consideradas avanzadas, con un programa definido y maduro que abarca la triple amenaza de mejores prácticas de personas, procesos y tecnologías, pueden tener dificultades para seguir el ritmo de las rápidas exigencias del panorama de amenazas. Un área crítica en la que muchas empresas se quedan cortas es la concienciación sobre seguridad basada en roles, especialmente para el equipo de desarrollo. Aunque cada persona en una organización debe entender el papel que desempeña en la reducción de la superficie de ataque, aquellos que manejan código día tras día podrían estar al mando de un enfoque de seguridad verdaderamente transformador... si tan solo recibieran la formación adecuada.

Un programa de seguridad defensiva integral es aquel que exige una mejora continua y requiere una atención cuidadosa para establecer bases sólidas. Si esas bases se basan predominantemente en herramientas, es muy probable que los niveles de madurez sean inferiores a lo que los líderes de seguridad esperan. Un estudio del Ponemon Institute reveló que el 53% de las empresas no confiaba en que su conjunto de tecnologías de seguridad pudiera detener eficazmente las brechas, y siendo el error humano una causa principal de los ciberataques exitosos en empresas grandes y pequeñas, dejar a los desarrolladores fuera de una mejora estratégica de seguridad es jugar con fuego.

Haga de los desarrolladores la fuerza impulsora de la excelencia en seguridad de software

La incómoda verdad sobre los ciberataques es que, en casi todos los casos, los atacantes tienen una clara ventaja sobre la empresa objetivo, sin importar en qué punto de su viaje de madurez de seguridad se encuentren. Tienen el tiempo, las herramientas y la motivación para buscar meticulosamente cualquier debilidad que explotar, dedicándose a irrumpir y conseguir su objetivo.

Las organizaciones, por otro lado, hacen malabarismos con las necesidades del negocio y de los clientes, y aunque no pueden permitirse el inmenso riesgo de un ciberataque paralizante, no es práctico que las operaciones comerciales se ralenticen hasta el punto de acomodar una abundancia de controles de seguridad que pueden terminar obstruyendo el rendimiento. Aquí es donde los desarrolladores con conocimientos de seguridad representan un factor clave en los resultados de la ciberdefensa.

Aunque está establecido desde hace mucho tiempo que, tradicionalmente, los desarrolladores no han sido capacitados para compartir la responsabilidad de la seguridad de manera significativa, esto puede y debe cambiar para mejor. Las organizaciones pueden crear vías de capacitación viables para el grupo de desarrollo, pero necesitan seleccionar opciones educativas que ofrezcan material relevante de formas que tengan sentido en su mundo. Como mínimo, debe transmitirse en los lenguajes y marcos que utilizan activamente, y abordar las vulnerabilidades que tienen más probabilidades de encontrar en su código base.

Cuando los cursos se estructuran teniendo en cuenta el flujo de trabajo del desarrollador, existe una probabilidad mucho mayor de que los patrones de codificación deficientes que perpetúan las vulnerabilidades y configuraciones erróneas comunes puedan ser reemplazados por patrones buenos y seguros que aumenten significativamente la calidad del software con el tiempo. El software de baja calidad le costó a Estados Unidos 2,41 billones de dólares solo este año, y esto solo puede remediarse rompiendo el ciclo de errores que sostienen la deuda técnica arriesgada.

Se requiere un compromiso de toda la organización con un programa de seguridad más positivo e integral; uno que aproveche el poder humano necesario para marcar la diferencia en problemas impulsados por personas. Y si mantenerse fuera de los titulares de mañana es esencial, sin duda vale la pena el esfuerzo.